Velkommen til den fjerde artikel i serien om Check Point SandBlast Agent Management Platform. I de tidligere artikler (, , ) har vi detaljeret beskrevet webkonsolens interface og funktioner samt gennemgået Threat Prevention-politikken og testet den mod forskellige trusler. Denne artikel er dedikeret til den anden sikkerhedskomponent - Data Protection-politikken, der er ansvarlig for at beskytte data, der er gemt på brugerens enhed. I denne artikel vil vi også se på afsnittene Deployment og Global Policy Settings.
Data Protection-politikken
Data Protection-politikken giver mulighed for at konfigurere adgangen til data, der er gemt på den arbejdsstation, så kun autoriserede brugere kan få adgang ved hjælp af funktioner som Full Disk Encryption og Boot Protection. I øjeblikket understøttes følgende muligheder for disk kryptering: for Windows - Check Point Encryption eller BitLocker Encryption, for MacOS - File Vault. Lad os se nærmere på funktionerne og indstillingerne for hver mulighed.
Check Point Encryption
Check Point Encryption er den standard metode til disk kryptering i Data Protection-politikken og sikrer kryptering af alle systemfiler (midlertidige, systemfiler, slettede) i baggrunden uden at påvirke brugerens enheds ydeevne. Efter krypteringen bliver disken utilgængelig for ikke-autoriserede brugere.
Den primære indstilling for Check Point Encryption er 'Enable Pre-boot', som kræver autentificering af brugerne før operativsystemet indlæses. Denne mulighed anbefales, da den forhindrer omgåelse af autentifikation på operativsystemsniveau. Der er også mulighed for at konfigurere tidsindstillinger for midlertidig omgåelse af Pre-boot-funktionen:
- Allow OS login after temporary bypass — deaktivering af Pre-boot-funktionen og overgang til autentificering i operativsystemet;
- Allow pre-boot bypass (Wake On LAN – WOL) — deaktivering af Pre-boot-funktionen på computere, der er tilsluttet administration serveren via Ethernet;
- Allow bypass script — giver mulighed for at konfigurere omgåelse af Pre-boot-funktionen ved at angive tidspunkt og dato for, hvornår scriptet skal starte og indstillinger for afslutning af omgåelsen;
- Allow LAN bypass — deaktivering af Pre-boot-funktionen, når der er tilsluttet et lokalt netværk.
De nævnte muligheder for midlertidig omgåelse af Pre-boot-funktionen anbefales ikke at bruge uden klare årsager (f.eks. tekniske arbejder eller fejlfinding), og den bedste løsning sikkerhedsmæssigt er at aktivere Pre-boot-funktionen uden midlertidige omgåelsesregler. Hvis det er nødvendigt at omgå Pre-boot, anbefales det at sætte de mindst nødvendige tidsrammer i indstillingerne for midlertidig omgåelse for ikke at reducere beskyttelsesniveauet i længere tid.
Ved brug af Check Point Encryption er der også mulighed for at konfigurere avancerede indstillinger i politikken for Data Protection, f.eks. at tilpasse krypteringsparametre mere fleksibelt og justere forskellige aspekter af Pre-boot-funktionen og Windows-godkendelse.
BitLocker Encryption
BitLocker er en del af operativsystemet Windows og giver mulighed for at kryptere harddiske og flytbare media. Check Point BitLocker Management er en komponent i Windows-tjenester, der automatisk startes sammen med SandBlast Agent-klienten og bruger API til at styre BitLocker-teknologien.
Når du vælger BitLocker Encryption som metode til diskryptering i politikken for Data Protection, kan følgende indstillinger konfigureres:
- Initial Encryption — indstillinger for initial kryptering, som muliggør kryptering af hele disken (Encrypt entire drive), hvilket anbefales til maskiner med eksisterende brugerdata (filer, dokumenter osv.), eller kun kryptere data (Encrypt used disk space only), hvilket anbefales til nye Windows-installationer;
- Drives to encrypt — valg af drev/parter til kryptering, muligheden for at kryptere alle drev (All drives) eller kun partitionen med operativsystemet (OS drive only);
- Encryption algorithm — valg af krypteringsalgoritme, den anbefalede er Windows Default, men der er også mulighed for at angive XTS-AES-128 eller XTS-AES-256.
File Vault
File Vault er et standard krypteringsværktøj fra Apple, der sikrer adgang til dataene på brugerens computer kun for autoriserede brugere. Med File Vault installeret skal brugeren indtaste en adgangskode for at starte systemet og få adgang til de krypterede filer. Brug af File Vault er den eneste metode til at sikre beskyttelse af lagrede data i politikken for Data Protection for brugere af MacOS.
For File Vault, the setting "Enable automatic user acquisition" is available, which requires user authorization before the disk encryption process begins. If this feature is enabled, it is possible to specify the number of users that need to authorize before SandBlast Agent applies the Pre-boot feature, or to specify the number of days after which the Pre-boot feature will be automatically implemented for all authorized users if at least one user has authorized in the system during this period.
Datagendannelse
In case of problems with system boot, various data recovery methods can be utilized. The administrator can initiate the recovery process of encrypted data from the Computer Management → Full Disk Encryption Actions section. If Check Point Encryption is used, the previously encrypted disk can be decrypted to access all stored files. After this procedure, the disk encryption process must be restarted to implement the Data Protection policy.
When selecting BitLocker as the disk encryption method for data recovery, the Recovery Key ID of the troubled computer must be entered to generate the Recovery Key, which must then be entered by the user to access the encrypted disk.
For MacOS users using File Vault to protect stored information, the recovery process involves the administrator generating the Recovery Key based on the Serial Number of the troubled machine and entering this key followed by a password reset.
Deployment Policy
Since the release of , which covered the web console management interface, Check Point has made some changes to the Deployment section — it now includes the subsection Software Deployment, where the configuration (enabling/disabling blades) for already installed agents is set up, and the subsection Export Package, where packages with pre-installed blades can be created for further installation on user machines, for example, using Active Directory group policies. Let’s look at the Software Deployment subsection, where all SandBlast Agent blades are enabled.
Jeg minder om, at standardpolitikken for Deployment kun inkluderer blades i kategorien Threat Prevention. I betragtning af den tidligere nævnte politik for Data Protection kan denne kategori nu inkluderes til installation og brug på kundens maskine med SandBlast Agent. Det giver mening at aktivere Remote Access VPN-funktionen, som vil gøre det muligt for brugeren at oprette forbindelse til virksomhedens netværk, samt kategorien Access and Compliance, der inkluderer funktioner som Firewall & Application Control og kontrol af brugerens maskine i forhold til Compliance-politikken.
Export Package
Underafdelingen Export Packages er ekstremt nem at bruge: for at oprette en konfigurationspakke skal du angive navnet, vælge operativsystem (for Windows også angive arkitektur) og agentens version, hvorefter du vælger de sikkerhedspolitikker, der skal integreres i pakken. Desuden kan du angive en virtuel gruppe, som computersystemer med den installerede pakke vil være en del af, samt vælge VPN Site med forudinstallerede forbindelsesadresser og autentifikationsparametre (VPN Sites konfigureres i sektionen Export Packages → Manage VPN Sites). Dette sidste punkt er især praktisk, da det eliminerer risikoen for brugerfejl ved konfiguration af VPN-forbindelsesparametre.
Global Policy Settings
I indstillingerne for Global Policy Settings konfigureres en af de vigtigste parametre - adgangskoden til fjernelse af SandBlast Agent fra brugerens maskine. Efter installationen af agenten vil brugeren ikke kunne fjerne den uden at indtaste en adgangskode, som standard er ordet "hemmelig" (uden citationstegn). Dog er denne standardadgangskode let at finde i offentlige kilder, og ved implementeringen af SandBlast Agent anbefales det at ændre standardadgangskoden for fjernelse af agenten. I Management Platform kan politikken kun fastsættes 5 gange med den standardadgangskode, så ændring af adgangskoden for fjernelse er uundgåelig.
Derudover konfigureres dataindstillingerne i Global Policy Settings, som kan sendes til Check Point for analyse og forbedring af tjenesten ThreatCloud.
Fra Global Policy Settings kan også parametrene for disk-krypteringspolitik konfigureres, specifikt kravene til adgangskoden: kompleksitet, brugens varighed, muligheden for at bruge en tidligere gyldig adgangskode osv. I dette afsnit kan du uploade dine egne billeder i stedet for standardbillederne til Pre-boot eller OneCheck.
Oprettelse af politik
Når man har sat sig ind i mulighederne for politikken Data Protection og konfigureret de relevante parametre i afsnittet Deployment, kan man påbegynde installationen af den nye politik, der inkluderer disk kryptering ved hjælp af Check Point Encryption og de øvrige SandBlast Agent blades. Efter installationen af politikken på Management Platform vil klienten modtage en meddelelse om, at de skal installere den nye version af politikken nu eller udsætte installationen til et senere tidspunkt (maksimalt 2 dage).
Efter at have afsluttet download og installation af den nye politik, vil SandBlast Agent tilbyde brugeren at genstarte computeren for at aktivere Full Disk Encryption beskyttelsen.
Efter genstarten skal brugeren indtaste sine legitimationsoplysninger i vinduet til autentificering af Check Point Endpoint Security – dette vindue vil dukke op hver gang før operativsystemet starter (Pre-boot). Der er mulighed for at vælge Single Sign-On (SSO) for automatisk at bruge legitimationsoplysningerne ved autentificering i Windows.
I tilfælde af succesfuld autentificering får brugeren adgang til sit system, mens processen med disk kryptering påbegyndes 'bag kulisserne'. Denne operation påvirker ikke maskinens funktionalitet, selvom den kan tage lang tid (afhængigt af diskens størrelse). Når krypteringsprocessen er afsluttet, kan vi sikre os, at alle blades er aktiveret og fungerer, disken er krypteret, og brugerens maskine er beskyttet.
Konklusion
Lad os opsummere: i denne artikel har vi set nærmere på SandBlast Agents muligheder for at beskytte informationen, der er gemt på brugerens maskine, ved hjælp af disk kryptering i politikken Data Protection, undersøgt indstillingerne for distribution af politikker og agenter via afsnittet Deployment og installeret en ny politik med regler for disk kryptering og yderligere blades på brugerens maskine. I næste artikel i cyklen vil vi grundigt gennemgå mulighederne for logføring og rapportering i Management Platform og SandBlast Agent-klienten.
. For ikke at gå glip af de næste publikationer om emnet SandBlast Agent Management Platform — hold øje med opdateringerne på vores sociale medier (, , , , ).
Kilde: habr.com
